Создание приложения безопасности для Windows

Question

Во-первых, позвольте мне заявить, что я являюсь промежуточным разработчиком .NET, поэтому о низком уровне не может быть и речи.

По сути, я просто хочу написать программу, которая будет следить за изменениями в системе и регистрировать / сообщать об этих изменениях. Для этого не нужно блокировать какие-либо изменения, и я не верю, что смогу, даже если бы хотел учесть язык, на котором написано. Я просто не уверен, что мне нужно было бы проверить.

В голову приходят эти идеи:

• Проверьте и сохраните сумму системных файлов MD5 и все, что связано с запуск в реестре, и если они не соответствуют доверенному MD5, то сканировать с помощью VirusTotal или аналогичного сервиса
• Проверка запущенных процессов на наличие доверенной суммы MD5, загрузка неизвестна VirusTotal
• Мониторинг услуг
• Мониторинг прослушивающих портов

Конечно, об обнаружении чего-либо за пределами ring3 не может быть и речи.

Любые другие идеи вещей, чтобы проверить? Это выполнимо или я должен просто придерживаться популярного антивирусного программного обеспечения?

Редактировать: Еще одна идея, которая приходит на ум, - это проверка запущенных процессов на предмет их пути и сообщение о неуместном исполняемом файле. Может быть, regex сканирует случайные имена файлов. Также возможно проверка исполняемого заголовка запущенных процессов и сообщение о неверной информации заголовка, так как я слышал, что привязка файла сделает часть заголовка (PE?) Недействительной. Проверка сертификата файла тоже, хотя я видел вредоносное ПО с поддельным сертификатом, прошедшее UAC раньше.

Время для дополнительных исследований, спасибо всем!

Answer 1

Любые другие идеи вещей, чтобы проверить? Это возможно, или я должен просто придерживаться популярного антивирусного программного обеспечения?

Если вы не делаете это в учебных целях, вероятно. В учебных целях совсем неплохое упражнение. Другими словами, я бы не пытался в одиночку конкурировать с существующими продуктами, и при этом я не защищал бы свою собственную машину исключительно с помощью собственного кода; даже если это было хорошо проверено, вы должны быть в курсе последних проблем и уязвимостей.

Я потратил некоторое время на тщательную проверку такого продукта для начинающей компании. Они достигли чего-то похожего на то, что вы ищете, но производительность была сильно ухудшена. Даже для основных продуктов производительность может быть проблемой.

Answer 2

Если вы используете компьютер с Windows, я думаю, что было бы лучше использовать инструмент сканирования вредоносных программ.Если вы не будете использовать Microsoft Antivirus API, я думаю, что вы легко столкнетесь с проблемами блокировки файлов.

Но если вы хотите отслеживать службы и прослушивающие порты, это можно сделать с помощью встроенных классов инфраструктуры.*